关于SSL中Certificate Authentication认证的问题

[harrin]

(1)要认证服务器的身份，就要验证服务器发来的cerificate，那么在client端是要设置哪些发证机关(CA)是可信的，对吗？

(2)要被服务器认证，就要向服务器发送实现存储的certificate，对吗？

[littlethree]

（1）对呀，当然时要设置信任关系的，服务器发来的证书使用私匙加密的，使用的是数字签名，如果你的CA不信任ROOT CA，当然是不能利用服务器的公匙解密呢？

（2）这个是数字信封的形式嘛，要想让服务器服务器使用你的公有密钥来对你进行身份验证是你，而不是其他人，必须你要使用你的私钥来加密嘛

[littlethree]

遵循非对称密钥对三个规则：
1，私钥自己保存，公钥人人拥有
2，私钥公钥互解原则
3，依据现有水平，由公钥不可推导出私钥来

[littlethree]

怎么还不给分呢？

[harrin]

当我收到服务器发来的签名证书，我要用我的CA的公钥来验证这个签名证书是否是我的CA发来的。对巴？
能给我解释一下根证书是什么意思吗？是不是就是我信任的CA的证书，举个例子来说，比如我要信任VeriSign(一个CA)，就要获得VeriSign的根证书吗？

[littlethree]

对～
验证手段就是数字签名的方式吗，保证是你的信任CA发来的，而不是其他人，网络窃听者不可能做到的

根证书就是根CA发来的用私钥加密的证书，比如你去sina申请一个邮箱，服务器给了你一个邮箱帐号和密码，这里的邮箱帐号就是公钥，密码就是你才有的私钥

[harrin]

谢谢你，可是我怎么给你加不了分呢？

还有些问题，

1）你说根证书是CA发来的用私钥加密的证书，可是为什么要用私钥加密根证书呢？我的理解根证书就只包涵CA的公钥的呀？用来对端发过来的证书是不是同一个CA签发的呀？
2）MD5，SHA，分别都用在什么方面？是验证，加密？
3) 常说的ECC和RSA分别是什么意思？

[littlethree]

1）是用CA自己的私钥加密的证书，这个解密公钥是人人都有的，表示这个证书是从这个CA发来的，而不是别人篡改过得。用CA公钥加密的情况是数字信封，就像我举的例子一样

2）MD5以及SHA是数据加密的手段，用作证书的加密，验证跟这个没有关系；


3）ECC和RSA也是的，你像信任CA申请的时候可以选择选择，你可以想像一下internet的加密手段SSL TLS等

[littlethree]

1）是用CA自己的私钥加密的证书，这个解密公钥是人人都有的，表示这个证书是从这个CA发来的，而不是别人篡改过得。用CA公钥加密的情况是数字信封，就像我举的例子一样

2）MD5以及SHA是数据加密的手段，用作证书的加密，验证跟这个没有关系；


3）ECC和RSA也是的，你像信任CA申请的时候可以选择选择，你可以想像一下internet的加密手段SSL TLS等

[littlethree]

给分就点管理就可以了

呵呵，要快呀～